问题内容
我正在创建访问、刷新令牌逻辑，并且我想检查访问令牌是否有效（未编辑），即使它已过期。如果令牌过期，Go 将返回错误并使令牌无效。因此，我检查给定的错误是否与 ErrTokenExpired 匹配。
我可以 100% 确定如果令牌无效，那么 err 不会为零，这样我就可以删除 if !tkn.Valid{... 吗？
这通常是一个好的方法还是编辑的令牌可以通过我的验证？
func VerifyJWT(jwtString, secret string) (*jwt.Token, *Claims, error) {
claims := &Claims{}
tkn, err := jwt.ParseWithClaims(jwtString, claims, func(token *jwt.Token) (interface{}, error) {
return []byte(os.Getenv(secret)), nil
})
return tkn, claims, err
}
_, accClaims, err1 := VerifyJWT(req.Access, "ACCESS_SECRET")
if err1 != nil && err1.Error()[:16] != jwt.ErrTokenExpired.Error()[:16] {
WriteJSON(w, http.StatusBadRequest, APIError{Error: "invalid token access" + err1.Error()})
return
}
正确答案
如果您的代码中有两点，jwt 令牌是安全的：
1-选择好的算法
2-创建随机密钥
如果token改变或者超时，这两个选择可以帮助你，VerifyJWT返回错误！
注意：总是需要检查错误，并向客户端返回良好的响应。
注意（改进您的代码）：要检查一个错误是否为 ErrTokenExpired，请使用 errors pkg。
你的例子：
// import "errors"
_, accClaims, err := VerifyJWT(req.Access, "ACCESS_SECRET")
if errors.Is(err, jwt.ErrTokenExpired) {
// continue progress
}
if err != nil {
WriteJSON(w, http.StatusUnauthorized, APIError{Error: err.Error()})
return
}
